GuardFall: איך טריקים בני עשרות שנים של Bash עוקפים את מגנוני הבטיחות של סוכני AI

הכלים המושפעים

על פי הדיווחים הזמינים, להלן סוכני הקוד מסוג קוד-פתוח שנמצאו כפגיעים ל-GuardFall :

המלצות להתגוננות

מאחר שהבעיה אינה רק רשימה גרועה של מילים אסורות, אלא אי-התאמה בין מה שבודק הבטיחות רואה לבין מה ש-Bash מבצע בפועל, נדרשת גישה שכבתית :

1. אל תסתמכו על מסנני בטיחות מבוססי מחרוזות בלבד. בדיקות בטיחות המחפשות מחרוזות מסוכנות ברורות ניתנות לעקיפה כאשר Bash מפרש תחביר מוסתר בצורה שונה .
2. התייחסו לגבול המעטפת כאל סיכון גבוה. יש לבדוק, לברוח (escape) או להימנע מפקודות המורכבות מפלט מודל או מתוכן מאגר לפני שהן מגיעות ל-Bash .
3. צמצמו את מרחב הפגיעה (blast radius). הפעילו סוכני AI לקוד עם ההרשאות המינימליות הנדרשות, במיוחד כשהם עובדים על מאגרים משובטים או על תוכן חיצוני אחר.
4. יישמו תיקונים זמינים. במקרים מסוימים, תיקונים לסוכני AI כבר שוחררו, כולל התיקון של Google לפגיעות בחומרה מקסימלית ב-Gemini CLI שסומנה כ-GHSA-wpqr-6v78-jr5g .
5. בצעו בדיקה ידנית של פקודות המוצעות על ידי הסוכן בסביבות רגישות.
6. התייחסו לתוכן חיצוני כמו קובצי README וקוד כבלתי-מהימן, שכן התקפות מסוג GuardFall מסתמכות על תוכן זדוני שהסוכן קולט .

ההקשר התעשייתי הרחב — יוני 2026

דיווחים מיוני 2026 תיארו מספר חשיפות מתואמות של פגיעויות שהצביעו על חולשות מבניות משותפות בקרב סוכני AI לקוד בכל הנוגע לאמון, ביצוע פקודות ותוכן סביבת העבודה .

• TrustFall — פתיחת מאגר זדוני בכלים כמו Claude Code, Cursor, Gemini CLI או GitHub Copilot וקבלת הנחיית האמון (trust prompt) די היה כדי להריץ קוד תוקף שיכול להגיע לנתונים רגישים מקומיים כמו מפתחות SSH, אישורי ענן והיסטוריית מעטפת .
• SymJack — מחלקת ניצול RCE (Remote Code Execution) באמצעות חטיפת קישורים סימבוליים (symlink-hijack) שתוארה כדפוס תקיפה שקט יותר המשפיע על מספר כלים, כולל Claude Code, Cursor, Antigravity, Copilot CLI ו-Grok Build .
• GuardFall — מחקר של Adversa AI הראה שניתן להשתמש בהתנהגות הניתוח של Bash כדי לעקוף את בדיקות הבטיחות של סוכני AI .
• Gemini CLI CVSS 10.0 — Google תיקנה פגיעות בחומרה מקסימלית ב-Gemini CLI, שסומנה כ-GHSA-wpqr-6v78-jr5g, שבה ביצוע אוטומטי בסביבת CI/CD נתן אמון אוטומטי בקבצי סביבת עבודה בשליטת התוקף, ואפשר ביצוע פקודות שרירותיות בסביבת CI/CD .

הנקודות המבניות המרכזיות שהחוקרים הדגישו:

• הזרקת פקודה למודל (prompt injection) נותרה סיכון מרכזי עבור כלי תכנות סוכניים, ו-NIST (המכון הלאומי לתקנים וטכנולוגיה של ארה"ב) תיאר אותה כ"הכשל האבטחתי הגדול ביותר של AI גנרטיבי", בעוד ש-OWASP מדרג אותה כפגיעות מספר 1 ברשימת היישומים הגדולים של LLM .
• הנחיות אמון (trust prompts) אינן מספיקות כשלעצמן, שכן דיווחים על TrustFall תיארו ביצוע קוד תוקף לאחר שמשתמש קיבל הנחיית אמון על מאגר .
• בדיקות בטיחות מבוססות טקסט אינן מהוות גבול אבטחתי שלם, שכן התקפות GuardFall מסתמכות על כך ש-Bash מפרש מחרוזות פקודה מוסתרות בצורה שונה משכבת האבטחה .
• תגובת הספקים לא הייתה אחידה, כאשר דיווחים ציינו שגוגל ו-Cursor סירבו לתקן בעיות מסוג TrustFall/SymJack, בעוד ש-xAI ו-GitHub Copilot CLI לא הגיבו לחוקרים .